CVE-2025-11493

WysokieCVSS 8.8

Opublikowano: 16/10/2025(UTC)Zaktualizowano: 09/10/2026(UTC)Przetłumaczono: 09/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.23%

Percentyl 12 - wyżej niż 12% wszystkich znanych CVE

Streszczenie

Agent ConnectWise Automate nie w pełni weryfikuje autentyczność plików pobieranych z serwera, takich jak aktualizacje, zależności i integracje. Stwarza to ryzyko, że atakujący w środku ścieżki (on-path) może przeprowadzić atak man-in-the-middle i podstawić złośliwe pliki zamiast legalnych, podszywając się pod legalny serwer. Ryzyko jest ograniczone, gdy wymuszane jest HTTPS i jest powiązane z CVE-2025-11492.

Ocena ryzyka

Atakujący może podmienić pliki pobierane przez agenta, co może prowadzić do wykonania złośliwego kodu na stacjach roboczych, naruszenia integralności systemu lub kradzieży danych.

Rekomendacja

Zaleca się wymuszenie korzystania z HTTPS dla wszystkich połączeń agenta z serwerem oraz monitorowanie integralności pobieranych plików. Należy również śledzić aktualizacje zabezpieczeń dla ConnectWise Automate.

Inne podatności w ConnectWise Automate Agent

CVE-2025-11492Krytyczne
W agencie ConnectWise Automate komunikacja mogła być skonfigurowana do używania HTTP zamiast HTTPS. W takim przypadku atakujący z pozycją man-in-the-middle mógł przechwytywać, modyfikować lub odtwarzać ruch między agentem a serwerem. Poprawka w wersji Automate 2025.9 wymusza HTTPS dla całej komunikacji agenta.

Oryginalny opis (angielski, źródło NVD)

The ConnectWise Automate Agent does not fully verify the authenticity of files downloaded from the server, such as updates, dependencies, and integrations. This creates a risk where an on-path attacker could perform a man-in-the-middle attack and substitute malicious files for legitimate ones by impersonating a legitimate server. This risk is mitigated when HTTPS is enforced and is related to CVE-2025-11492.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS